+27. pants 2.

27. pants 2.

Finanšu vienības 1. punktā minētajā ziņojumā iekļauj visu šo informāciju:

a) 

ievada iedaļa, kurā:

i) 

skaidri norāda finanšu vienību, uz kuru attiecas ziņojums, un attiecīgā gadījumā apraksta tās grupas struktūru;

ii) 

apraksta ziņojuma kontekstu – finanšu vienības pakalpojumu, pasākumu un darbību veidu, mērogu un sarežģītību, tās organizāciju, identificētas kritiskās funkcijas, stratēģiju, būtiskus notiekošus projektus vai darbības, attiecības un tās atkarību no vietējiem vai nolīgtiem IKT pakalpojumiem un sistēmām vai ietekmi, kāda šādu sistēmu pilnīgai zaudēšanai vai būtiskam darbības pasliktinājumam būtu uz kritiskajām vai svarīgajām funkcijām un tirgus efektivitāti;

iii) 

sniedz kopsavilkumu par nozīmīgām IKT riska pārvaldības sistēmas izmaiņām kopš iepriekšējā iesniegtā ziņojuma;

iv) 

ietver izpildvaras līmeņa kopsavilkumu par pašreizējo un īstermiņa IKT profilu, draudu vidi, novērtēto tās kontroļu efektivitāti un finanšu vienības drošības stāvokli;

b) 

datums, kurā finanšu vienības vadības struktūra apstiprinājusi ziņojumu;

c) 

apraksts par iemeslu IKT riska pārvaldības sistēmas pārskatīšanai saskaņā ar Regulas (ES) 2022/2554 6. panta 5. punktu;

d) 

pārskata perioda sākuma un beigu datums;

e) 

norāde uz funkciju, kas atbild par pārskatīšanu;

f) 

apraksts par nozīmīgām IKT riska pārvaldības sistēmas izmaiņām un uzlabojumiem kopš iepriekšējās pārskatīšanas;

g) 

pārskatīšanas konstatējumu kopsavilkums un sīka analīze un novērtējums par vājo vietu, trūkumu un nepilnību smagumu IKT riska pārvaldības sistēmā pārskata periodā;

h) 

apraksts par pasākumiem, kas veikti, lai novērstu apzinātās vājās vietas, trūkumus un nepilnības, tajā skaitā:

i) 

kopsavilkums par pasākumiem, kas veikti, lai izlabotu apzinātās vājās vietas, trūkumus un nepilnības;

ii) 

paredzamais pasākumu īstenošanas datums un datumi saistībā ar īstenošanas iekšējo kontroli, tajā skaitā informācija par minēto pasākumu īstenošanas norisi ziņojuma sagatavošanas dienā, attiecīgā gadījumā paskaidrojot, vai pastāv risks, ka termiņi var netikt ievēroti;

iii) 

izmantojamie rīki un par pasākumu īstenošanu atbildīgās funkcijas identifikācija, sīki aprakstot, vai šie rīki un funkcijas ir iekšēji vai ārēji;

iv) 

apraksts par pasākumos paredzēto izmaiņu ietekmi uz finanšu vienības budžeta resursiem, cilvēkresursiem un materiālu resursiem, ieskaitot resursus, kas atvēlēti jebkādu korektīvu pasākumu īstenošanai;

v) 

informācija par kompetentās iestādes informēšanu (attiecīgā gadījumā);

vi) 

ja attiecībā uz apzinātajām vājajām vietām, trūkumiem vai nepilnībām nav veikti korektīvi pasākumi – sīks to kritēriju skaidrojums, kas izmantoti, lai analizētu minēto vājo vietu, trūkumu vai nepilnību ietekmi nolūkā izvērtēt atlikušo IKT risku, un sīks to kritēriju skaidrojums, kas izmantoti, lai akceptētu saistīto atlikušo risku;

i) 

informācija par plānoto IKT riska pārvaldības sistēmas turpmāko attīstību;

j) 

secinājumi, kas izriet no IKT riska pārvaldības sistēmas pārskatīšanas;

k) 

informācija par līdzšinēju pārskatīšanu, tajā skaitā:

i) 

līdzšinējas pārskatīšanas datumi;

ii) 

attiecīgā gadījumā – pēdējā ziņojumā noteikto korektīvo pasākumu īstenošanas stāvoklis;

iii) 

ja līdzšinējā pārskatīšanā ieteiktie korektīvie pasākumi ir izrādījušies neefektīvi vai ir radījuši neparedzamas problēmas – apraksts par to, kā šos korektīvos pasākumus varētu uzlabot, vai minēto neparedzēto problēmu apraksts;

l) 

ziņojuma sagatavošanā izmantotie informācijas avoti, ietverot visu turpmāk minēto:

i) 

attiecībā uz finanšu vienībām, kas nav mikrouzņēmumi, kā minēts Regulas (ES) 2022/2554 6. panta 6. punktā, – iekšējo revīziju rezultāti;

ii) 

atbilstības novērtējumu rezultāti;

iii) 

digitālās darbības noturības testēšanas rezultāti un – attiecīgā gadījumā – rezultāti, kas gūti IKT rīku, sistēmu un procesu padziļinātā testēšanā, kura veikta, pamatojoties uz draudu vadītu ielaušanās testēšanu (DVIT);

iv) 

ārējie avoti.

Šā punkta c) apakšpunkta nolūkos, ja pārskatīšana bija uzsākta, ievērojot uzraudzības norādījumus vai secinājumus, kas izriet no attiecīgajiem digitālās darbības noturības testēšanas vai revīzijas procesiem, ziņojumā iekļauj skaidras atsauces uz šādiem norādījumiem vai secinājumiem, lai varētu noteikt pārskatīšanas uzsākšanas iemeslu. Ja pārskatīšana uzsākta pēc tam, kad notikuši ar IKT saistīti incidenti, ziņojumā iekļauj visu ar IKT saistīto incidentu sarakstu kopā ar incidenta cēloņa analīzi.

Šā punkta f) apakšpunkta nolūkos aprakstā ietver analīzi par izmaiņu ietekmi uz finanšu vienības digitālās darbības noturības stratēģiju, uz finanšu vienības IKT iekšējo kontroles sistēmu un uz finanšu vienības IKT riska pārvaldības vadību.

1. Pārskats

,

1.1 Atsauces

1.2 Identificētās prasības

1.3 Saistītie standarti

2. Identificētās prasības

Prasības

3. Saistītie standarti

Standarti